发送到logstash的日志的Grok模式

Question

我有需要发送到logstash的haproxy日志，我正在试图查看捕获的请求标头。你能建议一下格鲁克模式吗？

以下是具有Referrer | User-Agent | X-Forwarded-For | True-Client-IP

的日志部分

  

{https://my-dev.mysite.com/|Mozilla/5.0（Macintosh; Intel Mac OS X.   10_11_6）AppleWebKit / 537.36（KHTML，与Gecko一样）Chrome / 55.0.2883.95   Safari / 537.36 | 161.987.654.​​321,122.486.243.921，   21.103.137.111 | 161.987.654.​​321}

我是新的Grok模式，所以需要你的帮助

Answer 1

你可以使用这个：

{%{URI:referrer}\|%{GREEDYDATA:user-agent}\|%{DATA:x-forwarded-for}\|%{IP:ip}}

如果您使用真实的IP，它将起作用。

Answer 2

这对我有用......

  {%{DATA:referrer}\|%{GREEDYDATA:user-agent}\|%{DATA:XForwardedFor}\|%{IP:TrueClientIP}}